Perplexity AI がエージェント用セキュアサンドボックス「SPACE」を発表

AI エージェントは、ファイルの編集やコードの実行、数時間から数日にわたる多段階タスクの実行など、私たちに代わって実際の作業を担います。これには機密情報へのアクセスが必要になることが多く、その結果、モデルがどれだけ賢いかよりも、エージェントがどこで実行されるかが重要になります。

サンドボックスは、エージェントの安全性を保ちつつ、必要なツールやファイルにアクセスしてタスクを完了させる一方で、機密情報を保護します。

エージェントプラットフォーム「Computer」を構築する際、私たちは市販されているサンドボックスオプションを検討しました。しかし、どの選択肢も機能性、効率性、セキュリティの間でトレードオフを考慮する必要がありました。Perplexity Computer にはこれら三要素がすべて必要だったため、私たちは全く新しいタイプのサンドボックスを開発することになりました。

本日、私たちは「Computer」の能力を最大限に引き出すと同時に、高度なエージェントシステムに対して最高レベルのセキュリティを提供するサンドボックスプラットフォーム SPACE を発表します。

サンドボックスアーキテクチャの再構築

SPACE は、コードの実行やファイルとの対話など、タスク実行に必要な期間だけ存在する一時的なサンドボックスを起動します。タスクが完了すると、そのサンドボックスと内部のすべてのデータは破棄されます。

再起動を必要とする長期にわたる作業では、SPACE は各サンドボックスをセッションとしてラップし、一時停止や再開、あるいは複数のサンドボックスへの分岐が可能になります。SPACE のローリングスナップショット技術により、個々のサンドボックスには保持されなくても、コンテキストは作業とともに移動します。

従来のトレードオフの解消

既存のサンドボックスプラットフォームの多くは、機能性・効率性・セキュリティという 3 つの変数のうち 2 つしか解決できていません。ある一方を最適化すると、他方が犠牲になるのが常です。

例えば、強力な分離機構を持つソリューションでも、環境内部で認証情報が露出しているケースがあります。一方で、短期ジョブの処理には優れていても、セッションが数時間続く場合や状態保持が必要な場合に失敗してしまう例も少なくありません。

SPACE は、これらの課題をすべて解決するために、各機能を専用のサービスに分離する設計を採用しています。ネットワークゲートウェイ、スペースデーモン、ファイルサービスの 3 つが、それぞれスタックの異なる部分を保護します。また、認証情報は必要な瞬間のみ、外部からサンドボックス内へ提供される仕組みです。

この設計により、エージェントが侵害された場合でも、プラットフォーム管理下の認証情報への経路はデフォルトで遮断されます。セッションの継続時間やバックエンドの種類に関わらず、割り当てられたタスク以外の領域にアクセスすることはできません。

3 層構造によるセキュリティの実装

SPACE は、それぞれに堅牢なセキュリティ対策が組み込まれた 3 つの主要レイヤーで構成されています：

• コントロールプレーン: SPACE のアーキテクチャにおける最初のレイヤーです。サンドボックスのライフサイクルを調整する役割を担っています。すべてのリクエストは単一の API を経由して受け付けられ、サンドボックスの状態を追跡しながら、リアルタイムでどのバックエンドにルーティングするかを決定します。また、タスクに新しいサンドボックスが必要になるタイミングや、タスクが完了して対応するサンドボックスを破棄できるタイミングもここで判断されます。コントロールプレーンはステートレスかつ中央集権的にホストされているため、ローカルマシンを含む既存のインフラストラクチャ上でも、同じ API 呼び出しが動作します。

• ノードレベルサービス: SPACE において、Perplexity のセキュリティ姿勢が際立っているのがこのノードレベルサービスです。SPACE では、認証情報は決してサンドボックス内へ渡りません。必要な瞬間にのみ、外部からサンドボックス内に注入されます。エージェントが Google アカウントに一時的にアクセスしてサインインする必要がある場合でも、SPACE は認証情報をサンドボックス内部に露出させることなく、サインインフローを処理できます。アウトバウンドのネットワークトラフィックもノードレベルで制御されています。侵害されたエージェントであっても、許可された範囲外には一切到達できません。

• サンドボックス内: サンドボックス内レイヤーは、SPACE の最後の防御ラインです。SPACE では各タスクが Firecracker マイクロ VM 内で実行されます。これは OS を独自に持つ完全な隔離環境です。つまり、内部の何かがホストや並行して動作する他のサンドボックスに影響を与えることはありません。Space Daemon は、Perplexity のコントロールプレーンと通信する唯一のプロセスです。開始、一時停止、スナップショットなどの運用信号を担っています。これにより、通信チャネルは監査可能かつ制御可能となっています。

コントロール機能をフルセットで提供

SPACE は、プロバイダーの中で唯一、包括的なコントロール機能を提供するプラットフォームです。一時停止と再開、セッションのフォーク、セッションごとの認証情報分離、プロトコル転送、そしてマルチバックエンドのオーケストレーションを、単一のプラットフォーム上で統合しています。

SPACE はセッション全体の状態をローリングスナップショットとして保存し、ファイルだけでなく生メモリも毎分という頻度でキャプチャします。最大 1 週間前の時点へ遡ることが可能です。いわば内蔵されたタイムマシンであり、タスクの最中に離れても、1 週間後に戻ればエージェントは一時停止した場所から正確に再開できます。

SPACE はサンドボックスをデフォルトで信頼できないものとして扱い、ネットワーク制御、認証情報管理、テナント分離、暗号化ストレージによってそれを囲い込んでいます。もし一つの層が侵害されたとしても、他の層が個人情報を保護します。

SPACE を利用する企業顧客は、独自の暗号化キーを持ち込むことも可能です。顧客がキーを失効させれば、新しいサンドボックスは起動できなくなり、既存の顧客暗号化データも復号できなくなります。

特に機密性の高いデータを扱う場合のために、SPACE はオンプレミス環境でも完全オフライン環境でも動作するように設計されています。このレベルのコントロールにより、データが安全な環境から外に出る必要はありません。

Perplexity での活用事例

Perplexity のエンジニアたちは、SPACE を概念段階から製品化までわずか 10 週間で実現しました。私たちは過去 2 ヶ月間にわたり社内でも SPACE を利用しています。先週のデータでは、数百万回のサンドボックス作成と数千万回の再接続を支援しました。今日現在、すべてのユーザー向けに「Computer」機能として稼働しています。

SPACE はどこでも実行できるように設計されています。NVIDIA Vera CPU での初期テストでは、従来の生産環境基準と比較して、Computer スタイルのワークフローが約 1.5 倍高速に動作し、並行して起動するサンドボックスも最大 1.9 倍速く立ち上がることが確認されました。この初期結果は、Vera がエージェント用サンドボックスにおいて極めて高い価値を発揮することを示しており、SPACE のバックエンド非依存設計の妥当性を実証したものです。

セキュアな環境への投資

機能性、効率性、そしてセキュリティの間にはトレードオフが存在してはならないと考えています。AI エージェントは、私たちが扱うデータと同じく、信頼できるチームメイトに託すのと同じレベルの信頼性を備えて動作すべきです。

SPACE は、こうしたセキュアな環境を実現する最初の試行に過ぎません。AI の進化に伴い、私たちのセキュリティおよびインフラストラクチャシステムも同時に進化し続けるでしょう。

詳細は Making SPACE: Secure and Efficient Runtimes for Long-Running Agents をご覧ください。